一种基于可信执行环境的数据采集方法及系统技术方案

本申请公开了一种基于可信执行环境的数据采集方法及系统，涉及信息安全领域。本申请的主要技术方案为：调用CA控件接口，建立客户端应用与可信应用的安全通道；通过所述安全通道采集可信应用的安全数据。采用本申请的技术方案能够保证数据的安全传输，满足特定行业的远程身份认证需求；而且统一CA控件接口，减少客户端应用的开发。

【技术实现步骤摘要】
一种基于可信执行环境的数据采集方法及系统
本申请涉及信息安全领域，尤其涉及一种基于可信执行环境的数据采集方法及系统。
技术介绍
随着智能手机的普及，以及移动互联网应用的发展，市场上出现了各种通过摄像头扫描条形码或二维码的各种应用，比如微信扫描支付、支付宝扫描支付、二维码推广信息扫描、应用二维码下载等。由于普通智能终端设备是基于开放的操作系统开发，尤其是Android开放系统，存在一定的安全隐患，容易受到攻击，引发各种安全问题。因此基于该开放系统的应用(如摄像头拍照、扫描等)也存在一定的安全隐患，采集的信息在采集过程中存在被篡改的可能，存在一定的安全隐患，尤其涉及金融支付类的应用，安全风险更高。因此，如何保证摄像头或指纹采集等生物识别设备数据采集的安全性，是现有金融支付场景亟待解决的问题。
技术实现思路
本申请的目的在于提供一种基于可信执行环境的数据采集方法及系统，保证摄像头或指纹采集等生物识别设备数据的安全传输。为达到上述目的，本申请提供一种基于可信执行环境的数据采集方法，应用于包括应用服务器和移动终端组成的系统中；移动终端包括运行在富执行环境中的客户端应用和CA控件，以及运行在可信执行环境中的可信应用，所述方法包括：应用服务器通过客户端应用调用CA控件接口，建立应用服务器与可信应用的安全通道；应用服务器使用所述安全通道在可信执行环境下通过可信应用采集数据。如上的，其中，建立客户端应用与可信应用的安全通道，包括如下子步骤：调用CA控件接口，响应于客户端应用发送的初始化请求，执行初始化操作；根据初始化请求建立安全通道。如上的，其中，执行初始化，包括如下子步骤：加载可信应用，可信应用与CA控件互相验证合法性；CA控件验证客户端应用的合法性。如上的，其中建立安全通道，具体为：客户端应用与可信应用协商会话秘钥。本申请还提供一种基于可信执行环境的数据采集终端，包括：应用服务器和移动终端，移动终端包括运行在富执行环境中的客户端应用和CA控件、运行在可信执行环境中的可信应用；应用服务器，通过客户端应用调用CA控件接口，建立应用服务器与可信应用的安全通道；可信应用，采集安全数据，通过所述安全通道发送至所述应用服务器。如上的，其中，客户端应用还包括操作模块，根据初始化请求调用CA控件；CA控件包括初始化模块，执行初始化操作，根据初始化请求建立安全通道。如上的，其中，所述初始化模块，具体用于验证可信应用和客户端应用的合法性。如上的，其中，可信应用还包括存储模块，用于储存与客户端应用协商好的会话秘钥。如上的，其中，应用服务器还包括存储模块，用于存储与可信应用协商好的会话秘钥。本申请实现的有益效果如下：本申请将生物识别设备作为移动设备的TEE安全环境中的安全应用TA，通过采集安全应用中的数据，TA和后台业务系统双向认证，保证数据的安全传输；而且所有业务传输完全由后台系统处理，满足特定行业的应用；而且统一CA控件接口，减少客户端应用的开发。附图说明为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。图1为本申请提供的一种基于可信执行环境的数据采集系统图；图2为本申请提供的一种基于可信执行环境的数据采集方法流程图；图3为建立客户端应用与可信应用的安全通道的具体操作流程图。图4为执行初始化的具体操作流程图；图5为建立安全通道的具体操作流程图；图6为客户端应用采集摄像头数据的具体操作流程图。具体实施方式下面结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。随着网络技术和智能终端的高速发展，用户可以将大量应用下载到终端设备中，为了保证应用采集数据的安全性，本申请提供一种基于可信执行环境的数据采集系统，如图1所示，应用于包括应用服务器11和终端设备12组成的系统中。应用服务器11，是客户端应用CA(ClientApplication)的后台业务处理系统，内置密钥和密钥算法，使用密钥算法对随机数和密钥计算，生成应用密文，将应用密文和密钥作为初始化请求数据提供给客户端应用CA。终端设备12的处理器上设置有两个执行环境，分别为富执行环境121(RichExecutionEnvironment，以下简称REE)和可信任执行环境122((TrustedExecutionEnvironment，以下简称TEE)。其中，REE是普通非保密执行环境，可以包括多个客户端应用，并执行普通的富指令操作系统，如Andriod系统。TEE是可信任保密执行环境，包括多个可信应用TA(TrustedApplication)，并执行更加安全的可信操作系统。TEE中的可信应用TA包括多种应用服务，如安全摄像头、安全指纹采集器等。为了实现访问TEE中的可信应用TA时减少客户端应用的开发，统一配置CA控件接口，CA控件接口可以为客户端应用CA中的子控件，也可以为代理提供的独立控件。调用CA控件接口建立REE与TEE之间的安全通道，然后REE中的客户端应用即可通过该安全通道采集TEE中的可信应用TA的安全数据，且传输过程中不会被篡改。实施例本申请实施例提供一种基于可信执行环境的数据采集方法，如图2所示，包括：步骤21：调用CA控件接口，建立应用服务器与可信应用的安全通道；参见图3，本实施例中，建立应用服务器与可信应用的安全通道，具体为：步骤310：客户端应用调用CA控件接口，发送初始化请求；每个客户端应用均包含独一无二的客户端应用标识，可信应用中存储有多个客户端应用标识，用以区分发送采集请求的客户端应用类别。具体的，客户端应用先向应用服务器发送初始化请求，接收应用服务器返回的初始化数据；然后客户端应用调用CA控件接口，向CA控件发送包含初始化数据和客户端标识的初始化请求，即将初始化数据和客户端标识作为参数传入CA控件接口。其中，发送的初始化请求中包括客户端应用标识，接收的初始化数据包括应用服务器生成的随机数和应用密文；具体的，响应于客户端应用的初始化请求，应用服务器生成随机数，对内置的第一分密钥、第二分密钥和随机数进行哈希运算，得到加密密钥；然后使用加密密钥对初始化请求中的客户端应用标识进行加密，得到应用密文；优选的，应用服务器对随机数、第一分密钥和第二分密钥进行sha256运算，得到的数值取前16个字节作为加密密钥。步骤320：CA控件执行初始化操作，并根据初始化请求，建立安全通道；参见图4，本实施例中，执行初始化操作具体包括：步骤410、加载可信应用TA，可信应用TA与CA控件互相验证合法性；具体的，CA控件通过系统服务调用对应的TA，TA在发布时经过手机厂商TEE的签名，故CA控件通过验证可信应用TA的签名信息来验证可信应用TA的合法性，验证合法后在TEE可信执行环境下加载该可信应用TA；TA中内置CA控件的包名和签名证书的哈希值，TA加载成功后，通过内置信息验证CA控件的合法性。步骤42本文档来自技高网...

【技术保护点】
1.一种基于可信执行环境的数据采集方法，其特征在于，应用于包括应用服务器和移动终端组成的系统中；移动终端包括运行在富执行环境中的客户端应用和CA控件，以及运行在可信执行环境中的可信应用，所述方法包括：应用服务器通过客户端应用调用CA控件接口，建立应用服务器与可信应用的安全通道；应用服务器使用所述安全通道在可信执行环境下通过可信应用采集数据。

【技术特征摘要】
1.一种基于可信执行环境的数据采集方法，其特征在于，应用于包括应用服务器和移动终端组成的系统中；移动终端包括运行在富执行环境中的客户端应用和CA控件，以及运行在可信执行环境中的可信应用，所述方法包括：应用服务器通过客户端应用调用CA控件接口，建立应用服务器与可信应用的安全通道；应用服务器使用所述安全通道在可信执行环境下通过可信应用采集数据。2.如权利要求1所述的数据采集方法，其特征在于，其中建立应用服务器与可信应用的安全通道，包括如下子步骤：应用服务器响应于客户端应用发送的初始化请求，通过客户端应用调用CA控件接口，执行初始化操作；根据初始化请求建立安全通道。3.如权利要求2所述的数据采集方法，其特征在于，其中执行初始化，包括如下子步骤：加载可信应用，可信应用与CA控件互相验证合法性；CA控件验证客户端应用的合法性。4.如权利要求3所述的数据采集方法，其特征在于，验证客户端应用的合法性，具体为：应用服务器响应于客户端应用发送的初始化请求，生成加密密钥，使用所述加密密钥对初始化请求中的客户端应用标识加密，得到应用密文并发送至客户端应用；客户端应用调用CA控件，CA控件将应用密文和客户端应用标识发送至可信应用；可信应用...

【专利技术属性】
技术研发人员：王玉岗，郑涛，
申请(专利权)人：江苏恒宝智能系统技术有限公司，
类型：发明
国别省市：江苏,32